O que um app de mídia no seu celular consegue ver, e o que ele nunca deveria enviar

A primeira é a sua biblioteca — nomes de arquivo, estrutura de pastas, o que você reproduziu e quando. Isso é incomumente revelador. Uma lista de nomes de arquivo diz mais sobre uma pessoa do que a maioria das listas de contatos, e é facílimo para um app incluir isso num evento de análise sem ninguém pretender fazer mal.

A segunda são as credenciais: usuários e senhas de painel de IPTV, tokens de nuvem, logins de WebDAV. Elas são seguras apenas na medida do lugar onde são guardadas. No iOS, esse lugar é o Chaveiro, que é criptografado, amarrado ao aparelho e ilegível por qualquer outra coisa. Uma credencial no banco de dados do próprio app é uma credencial no backup daquele app, e em qualquer coisa que consiga ler aquele backup.

A terceira é o que você navega, se o app tem um navegador. Cookies de uma sessão logada valem tanto quanto uma senha pelo tempo que duram. Eles precisam existir na memória pela duração de uma requisição e desaparecer depois — nunca escritos no disco, nunca registrados em log, nunca enviados a lugar nenhum para “diagnóstico”.

Um app gratuito é pago por alguma coisa. Normalmente isso é publicidade, uma assinatura, ou as duas — e cada uma tem uma versão honesta e uma desonesta. A versão desonesta da publicidade é o intersticial de tela cheia que aparece entre você e o que você estava fazendo, ou um SDK de anúncio com passe livre para quaisquer identificadores que ele conseguir alcançar. A versão honesta é publicidade que fica fora do caminho e não te segue entre apps quando você recusa ser seguido.

Vale saber que redes de anúncio raramente são uma empresa só. Um arranjo de mediação pede a várias redes que dêem lances, o que significa vários SDKs no app, cada um com a própria política. Um app que nomeia essas redes está te dizendo algo real; um app que diz “podemos usar parceiros de publicidade terceiros” não está te dizendo nada.

O mesmo vale para a análise de uso. Existe uma diferença genuína entre um app que conta quantas pessoas abriram a tela de downloads e um app que registra o que você baixou. O primeiro é uma questão de produto. O segundo é a sua biblioteca, no servidor de alguém, para sempre.

Um código de acesso ou um pedido de Face ID na frente de um app é uma tranca de tela. Ele barra alguém que tem o seu celular desbloqueado na mão de abrir o app e navegar pelos seus arquivos. Esse é um modelo de ameaça real e útil — é, de fato, a ameaça que a maioria das pessoas realmente enfrenta — e não é pouca coisa.

O que ele não é é criptografia. Os arquivos continuam no disco do jeito comum. Uma ferramenta forense com o código do aparelho, um backup completo sem criptografia, ou outro app que recebeu acesso à mesma pasta não encontram essa tranca de jeito nenhum. Qualquer app que diga que um PIN torna os seus arquivos irrecuperáveis está exagerando, e vale prestar atenção em qual afirmação um app faz.

A criptografia no nível do aparelho é a camada que faz esse trabalho, e o iOS te dá isso de graça: o disco inteiro é criptografado, e o código do aparelho é o que destranca. Um bloqueio de app fica em cima, como uma segunda porta, e vale ter justamente porque ele defende do caso do dia a dia.